Bien choisir sa stratégie de sécurité

Choisir une bonne stratégie de sécurité est réellement une affaire de spécialistes et ces quelque lignes n'ont pour but que de vous donner quelques pistes afin de aider à éclaircir quelque peu le problème .

Connaître la nature de son entreprise

Avant de se lancer dans une sécurisation intensive de votre parc informatique il sera sans doute nécessaire de bien identifier certaines caractéristiques de votre entreprise comme par exemple le degré de dépendance qu'elle a vis à vis des outils informatique. Votre entreprise utilise-elle énormément les outils informatiques, les services ou les produit que vous vendez sont ils en rapport avec l'informatique, avec les télécommunications? Votre principal outils de production est-il un ordinateur? Autant de question qu'il sera nécessaire de vous poser pour déterminer le degré de dépendance de votre entreprise à l'informatique, car bien sur plus il sera grand plus il y aura de chances pour que soyez obligé de vous orienté vers un dispositif de sécurité important.
Quelle est la taille de votre entreprise? car selon sa taille et celle de votre parc informatique les dispositif de sécurité ne seront pas comparable.

Quelles sont les informations à protéger?

Identifier les informations à protéger en toutes circonstances sont une étapes absolument nécessaire pour pouvoir par la suite mettre en place un dispositif de sécurité .il vous faudra donc repérer toutes les informations cruciales pour votre entreprise ( savoir faire, résultats de recherches, projet etc) car c'est ces informations qu'il faudra sécuriser et protéger de toutes malveillances .

Quels sont les risque et menaces les plus probables pour mon réseau ou mes installations?

Avant d'opter pour un système de sécurité ou un autre il est important d'identifier quelles sont les menaces les plus probables et les risques les plus présents.
On peut citer par exemple en terme de menaces , les virus, le spam, les intrusions non-autorisé, l'interception d'information, les attaques par brute force, le spoofing; le flood, le "social engineering" (manipulation du personnel pour obtenir les informations voulues, mot de passe ou autre), les attaques Dos, les vulnérabilité du services ou même les éventuels panne, incendie ou vol.

La sécurité physique

Si vous devez protéger des donnée que vous jugez extrêmement sensible, il est également nécessaire de prévoir une sécurisation des locaux qui contiennent ces donnés, de manière à éviter que quelqu'un de malveillant puisse s'introduire dans ces lieux. cela peut passer par des contrôles d'acces par login et mot de passe par des systèmes de badges électronique ou par authentification biométrique par exemple .
Ces locaux doivent être aussi prévus pour pouvoir éventuellement résister en cas d'incident majeur comme une inondation , un incendie et disposer d' équipements pouvant prendre le relais en cas de panne électrique par exemple.
Quoiqu'il en soit une sécurisation des locaux est souvent nécessaire pour garantir

Quelle politique de sécurité adopter?

Il est rarement suffisant de se contenter de sécuriser uniquement l'aspect informatique du système lorsqu'on sait que les dangers peuvent aussi venir de l'interieur.
Il vous faudra donc penser à établir une politique de sécurité interne qui définira un ensemble de droits pour chaque employé dans votre entreprise. Ces règles devront pouvoir concilier à la fois les impératifs liés à la sécurité tout en préservant un espace de travail pas trop contraignant pour vos employé qui devront de toute évidence s'adapter ce nouveau règlement.
Vous devrez donc définir l'ensemble des comportements acceptable ou non dans votre entreprise en terme de sécurité.
Là aussi c'est un point qui est capital car beaucoup de défaillance de système de sécurité viennent de facteurs humain.
Au besoin prévoyez des formations spécifique pour que vos employés puissent être sensibilisé aux impératif de sécurité et sachent correctement respecter les règles nouvelles règles de sécurité.

Quel dispositif technique choisir?

Vous avez eu l'occasion dans les pages précédente de vous familiariser avec quelques dispositifs techniques qui sont en mesure de vous garantir une sécurité efficace suivant vos besoins.
Quoiqu'il en soit on peut dire aisément que actuellement le minimum en matière de sécurité est d'installer un antivirus par poste, cela pour vous garantir contre une bonne partie de ce qu'on appelle des "malware" ou des nuisibles informatiques comme les virus par exemple .
Bien entendu si vous êtes une entreprise la protection de l'antivirus ne vous suffira pas pour protéger tout un réseau efficacement.
Suivant la taille et vos besoins en terme de sécurité il ne faudra pas hésiter un instant pour la mise en place d'un Firewall qui sera apte à contrôler les flux entrants et sortants du réseau .C'est sans doute aujourd'hui un des dispositif de plus en plus répandu dans les entreprises qui ont conscience des risque et des menaces que peut encourir un réseau.
Enfin si vous souhaitez réellement pouvoir contrer de manière optimum toute les attaques informatiques possibles vous pourrez sans doute vous intéresser de près aux détecteur d'intrusion comme Les Network IDS ou les Host IDS car en combinant les deux vous obtiendrez une sécurité réellement très performante.
Bien naturellement il est possible que d'autre type de dispositif non-cité ici vous soient proposé car les techniques évoluent de plus en plus vite dans ce secteur.

Quel est votre budget?

C'est une question cruciale car suivant le budget que vous aurez il vous faudra faire un certain nombre de choix en terme de sécurité. A savoir que les prix sont très variables en fonction du style de sécurité que vous allez mettre en place .
Cela peut effectivement varier de quelques centaines d'euros à plusieurs dizaine de millier suivant les dispositifs techniques choisis.
Il vous faudra donc trouver le point d'équilibre entre un risque acceptable et un coût raisonnable dans le but d'avoir un retour à une situation opérationnelle rapide pour coût acceptable.

Quelque chiffres

Ci-dessous quelque chiffre indicatifs pour vous une idée des menaces:

Forrester Research a interrogé 50 responsables sécurité de sites industriels au sujet des interruptions de service et pannes informatiques (quelle qu'en soit la cause). Il en ressort que :

- 90% ont déjà eu des problèmes dans le passé.
- 50% ne connaissent pas le coût de rétablissement.
- 28% ont un budget alloué au rétablissement du service.
- Pour 50% une coupure d'une journée est catastrophique.
- Près de 60% ne savent pas évaluer les pertes liées à un arrêt.
- 70% rétablissent le service eux-mêmes sans l'aide de prestataires.

ces chiffres sont assez parlant et montrent assez bien une vérité qui se profile de plus en plus en ce qui concerne la sécurité; Les entreprises seront plus en danger aujourd'hui que demain , toutefois la plupart d'entre elles prennent de plus en plus conscience des enjeux réels de la sécurité et osent de plus en plus passer le pas et adopter une sécurité étudiée, adaptée a leur besoins et efficace même si un peu onéreuse pour l'instant.

L’audit de sécurité

L'audit est l'étape finale dans le processus de sécurité de l'information. Après l'analyse de l'état de la sécurité de l'information, l'élaboration des politiques et des procédures appropriées, la mise en œuvre de contrôles techniques et la formation du personnel, l'audit permet de vérifier que les contrôles sont configurés correctement et conformément à la politique de l'entreprise.